Рекомендации по заполнению полей Уведомления в Роскомнадзор

Подача уведомления об обработке персональных данных (ПДн) может понадобиться практически всем операторам: организациям, физлицам, самозанятым, ИП. Сложности нередко возникают уже на этапе заполнения. Мы расскажем, какие сведения вносятся в каждом разделе, как подать уведомление и что будет, если этого не сделать. 

Чтобы зарегистрироваться в реестре операторов, нужно подать уведомление в РКН. Это обязаны делать почти все операторы, за некоторыми исключениями (ст. 22 ФЗ от 27.07.2006 №152-ФЗ):

• ПДн обрабатываются для соблюдения законодательства о транспортной безопасности.

• Обработка ПДн проводится для обеспечения госбезопасности.

• Данные обрабатываются без использования средств автоматизации. 

Теперь рассмотрим на примерах, когда нужно подавать уведомление в Роскомнадзор: 

1. Юридическая компания собирает заявки с сайта на консультации, сохраняет их в CRM и потом перезванивает клиентам. Это уже автоматизированная обработка ПДн, уведомление обязательно.

2. Онлайн-школа принимает оплату курсов через сайт и получает от учеников ФИО и e-mail.

3. Сервис аренды техники оформляет договоры аренды в электронном виде и хранит паспорта клиентов в облачном хранилище — нужно уведомление, потому данные обрабатываются автоматизированными системами. 

4. Маркетинговое агентство проводит email-рассылки, собирает базы лидов через формы лидогенерации.

5. Маленькая кофейня собирает номера телефонов клиентов для программы лояльности через онлайн-анкету.

Проведем бесплатный аудит вашей организации или ИП на предмет соблюдения новых требований закона «О персональных данных»

Сделаем заключение на соблюдение требований Роскомнадзора

Запишитесь на бесплатный аудит

Заполните форму и мы свяжемся с вами:

Имя^*

E-mail^*

Телефон^*

Отправить

Нажимая кнопку, я соглашаюсь с пользовательским соглашением, обработкой персональных данных и получением информационных и рекламных рассылок

Здесь надо заполнить несколько полей:

1. Тип оператора: юридическое лицо, ИП, физлицо, государственный, муниципальный орган или иностранный гражданин. Выберите подходящий вариант.

2. Наименование оператора: укажите полное название. Оно должно совпадать с данными из выписки ЕГРЮЛ или ЕГРИП.

3. Сокращенное наименование. Указывается лишь в том случае, если оно есть.

4. Регионы обработки: выберите субъекты РФ, на территории которых обрабатываются данные. 

5. Адрес оператора: впишите почтовый адрес согласно ЕГРЮЛ/ЕГРИП, а также адрес фактического местонахождения. Если адреса совпадают, поставьте галочку.

6. Адрес электронной почты, ИНН, ОГРН — обязательные поля. Дополнительно лучше указать и номер телефона для связи, а также ОКВЭД, ОКПО, ОКФС, ОКОГУ, ОКОПФ, но это по желанию. 

7. Филиалы: укажите наименования и адреса, если у вас есть обособленные подразделения без выделения отдельного ИНН.

Важно! Если у компании несколько филиалов, впишите сведения о них через кнопку «Добавить». 

Здесь подразумеваются цели, для которых вы планируете собирать и обрабатывать ПДн. Например, ведение кадрового и бухгалтерского учета; соблюдение трудового, налогового и пенсионного законодательства — это обязательно для всех юридических лиц, у которых есть сотрудники.

Какие еще могут быть цели:

• обеспечение соблюдения законодательства в сфере здравоохранения;

• проведение исследовательских работ;

• добровольное медицинское страхование;

• продвижение товаров, работ и услуг на рынке;

• осуществление адвокатской деятельности;

• иные цели, предусмотренные законодательством и формой уведомления. 

Пример: у вас ООО, компания занимается предоставлением услуг, есть сотрудники. Вы планируете продвигать их и на рынке — отправлять маркетинговые рассылки. Значит, нужно указать в уведомлении в Роскомнадзор цели: ведение кадрового и бухгалтерского учета; продвижение товаров, работ и услуг на рынке, обеспечение соблюдения трудового законодательства; подготовка, заключение и исполнение гражданско-правового договора; соблюдение налогового и пенсионного законодательства. 

Все категории ПДн должны соответствовать целям обработки. Например, если вы обрабатываете данные в рамках трудового законодательства, к таким данным относятся, в частности:

• ФИО;

• данные документа, удостоверяющего личность;

• номер телефона;

• СНИЛС и ИНН;

• реквизиты банковской карты;

• сведения об образовании и т.д. 

Сведения в этом разделе должны соответствовать целям обработки и категориям обрабатываемых данных. Например, вы не можете в качестве цели указать «ведение кадрового и бухгалтерского учета», а из списка субъектов выбрать клиентов или посетителей сайта — они никакого отношения не имеют к бухучету, вы не можете обрабатывать их ПДн и для кадровых целей. 

Подготовка документов для работы с персональными данными для организаций

Консультация

Самое распространенное основание — согласие субъекта ПДн на обработку. Но могут быть и другие основания, когда согласие не требуется (ст. 6 ФЗ № 152-ФЗ):

1. Обработка нужна для достижения целей, предусмотренных российским законодательством. 

2. Данные обрабатываются в связи с участием субъекта в судопроизводстве.

3. Обработка нужна для исполнения судебного акта, акта иного органа или должностного лица.

4. ПДн обрабатываются для исполнения договора,выгодоприобретателем которого является субъект, либо договор заключен по инициативе субъекта.

5. Иные основания, предусмотренные ст.6 ФЗ №152-ФЗ и формой уведомления.

Здесь укажите, что конкретно вы планируете делать с ПДн: собирать, записывать, систематизировать, хранить, извлекать, накапливать, обезличивать, передавать, распространять, блокировать, уничтожать или совершать иные действия. 

Выберите подходящий вариант: 

1. Автоматизированная обработка. Осуществляется с использованием средств вычислительной техники (программ, серверов). Примеры: ведение базы клиентов в CRM-системе, расчет заработной платы в бухгалтерской программе или хранение сканированных копий документов на электронном носителе.

2. Неавтоматизированная обработка. Предполагает работу исключительно с физическими носителями без использования компьютеров и другой техники. Классический пример — это бумажные личные дела сотрудников, хранящиеся в сейфах.

3. Смешанная обработка. Является наиболее распространенным сценарием, при котором данные одновременно обрабатываются и в электронном, и в бумажном виде. Например, когда оригинал трудового договора хранится в папке, а все сведения о выплатах и отпусках ведутся в цифровой системе.

Также в этом разделе нужно выбрать другие пункты:

1. С передачей по внутренней сети. Доступ к персональным данным предоставляется сотрудникам организации через ее локальную сеть.

2. С передачей по сети Интернет. Данный пункт применяется при использовании облачных решений (SaaS, например, облачные CRM), при пересылке данных с использованием электронной почты (email) или их загрузке на порталы государственных и иных служб.

3. Без передачи данных. Этот вариант актуален только в случае, если данные хранятся исключительно на автономном компьютере без возможности их передачи по каким-либо сетям.

В этом разделе укажите класс информационной системы ПДн, а также организационные и технические меры, которые вы применяете для защиты. Например, «Установлен КПП для контроля доступа в рабочие зоны. Назначены конкретные сотрудники, у которых есть доступ к персональным данным. Бумажные документы хранятся в металлических шкафах в закрытых кабинетах. Доступ туда есть только у уполномоченных лиц. Электронные данные обрабатываются на рабочих станциях с ограниченным доступом, вход в системы защищен паролями и электронными ключами». 

Если вы используете СКЗИ, укажите:

• Класс СКЗИ: КС1, КС2, КС3, КВ, КА.

• Наименование, изготовители, серийные номера средств шифрования.

Назначить ответственного нужно еще до заполнения уведомления. Им может быть штатный сотрудник или сторонняя организация. В первом случае указывается ФИО, адрес, номер телефона, адрес электронной почты. Если организацией обработки ПДн занимается аутсорсер, понадобится наименование компании, почтовый адрес, номера контактных телефонов, электронная почта. 

Важно! Если ИП подает уведомление в Роскомнадзор, ответственным автоматически считается он. 

Здесь необходимо указать дату регистрации бизнеса — ИП или юридического лица. Если вы не помните ее, посмотрите в выписке из ЕГРИП/ЕГРЮЛ. Ее можно заказать на сайте ФНС, она сформируется в течение 2–3 минут. Если вы зарегистрировали ИП или юрлицо, но какое-то время не вели деятельность, укажите фактическую дату начала обработки ПДн. 

Укажите страну, адрес расположения центра обработки данных (ЦОД), есть ли собственный ЦОД (да или нет). 

Если своего ЦОДа нет, укажите тип организации, наименование, ОГРН, ИНН, организационно-правовую форму, страну местонахождения компании, которая отвечает за хранение данных. 

Здесь необходимо перечислить конкретные меры, которые предприняты для защиты ПДН в соответствии с ФЗ №152-ФЗ и постановлением Правительства от 01.11.2012 №1119. Например:

1. Ограничен доступ в помещения, в которых расположены ИСПДн.

2. Утвержден перечень лиц, у которых есть доступ к данным.

3. Обеспечена сохранность материальных носителей ПДн.

4. Используются сертифицированные средства защиты информации.

Способ отправки уведомления в Роскомнадзор необходимо выбрать до того, как начнете заполнять его:

1. Через Госуслуги. Аккаунт исполнителя должен быть привязан к аккаунту организации. Вариант актуален только для владельца подтвержденной учетной записи.

2. В бумажном виде. Заполните форму на сайте РКН, подпишите и отправьте в территориальное подразделение ведомства. 

3. В электронном виде. Заполните и подпишите его электронной подписью, но понадобится настроенный плагин КриптоПро ЭЦП Browser plug-in. 

Когда уведомление будет отправлено, вы получите регистрационный номер и ключ для отслеживания статуса. Это также можно делать на сайте РКН. Если все в порядке, сведения об операторе внесут в реестр в течение 30 календарных дней. 

Подготовка документов для работы с персональными данными для организаций

Консультация

Если вы не успели подать уведомление в Роскомнадзор об обработке персональных данных до начала сбора ПДн, вас могут оштрафовать по ч.10 ст.13.11 КоАП. Штраф для граждан может достигать 10 000, для должностных лиц — до 50 000, для организаций и ИП — до 300 000 рублей. 

Юристы всероссийского сервиса «Роском Онлайн» помогут вам составить уведомление и оформить документы по персональным данным. Так вы сможете работать без нарушений ФЗ №152-ФЗ и снизить риски штрафов. 

Реклама: АО «КОНСАЛТИНГ ОНЛАЙН», ИНН: 2310203967, erid: 2W5zFHExzt8